В современном мире информация становится стратегическим ресурсом, одним из основных богатств экономически развитого государства. Быстрое совершенствование информатизации в России, проникновение ее во все сферы жизненно важных интересов личности, общества и государства вызвали помимо несомненных преимуществ и появление ряда существенных проблем.
Одной из них стала необходимость защиты информации .
Учитывая, что в настоящее время экономический потенциал все в большей степени определяется уровнем развития информационной структуры, пропорционально растет потенциальная уязвимость экономики от информационных воздействий.
По мере развития технологий электронных платежей, "безбумажного" документооборота и других, серьезный сбой локальных сетей может просто парализовать работу целых корпораций и банков, что приводит к ощутимым материальным потерям. Не случайно, что защита данных в компьютерных сетях становится одной из самых острых проблем на сегодняшний день.
Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств.
Информационные угрозы могут быть обусловлены:
Естественными факторами (стихийные бедствия – пожар, наводнение, ураган, молния и другие причины);
Человеческими факторами.
Последние, в свою очередь, подразделяются на:
1) Угрозы, носящие случайный, неумышленный характер . Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации (научно-техническая, коммерческая, валютно-финансовая документация); с нецеленаправленной «утечкой умов», знаний, информации (например, в связи с миграцией населения, выездом в другие страны, для воссоединения с семьей и т.п.). Это угрозы, связанные с ошибками процесса проектирования, разработки и изготовления систем и их компонент (здания, сооружения, помещения, компьютеры, средства связи, операционные системы, прикладные программы и др.), с ошибками в работе аппаратуры из-за некачественного ее изготовления; с ошибками процесса подготовки и обработки информации (ошибки программистов и пользователей из-за недостаточной квалификации и некачественного обслуживания, ошибки операторов при подготовке, вводе и выводе данных, корректировке и обработке информации).
2) Угрозы, обусловленные умышленными, преднамеренными действиями людей . Это угрозы, связанные с передачей, искажением и уничтожением научных открытий, изобретений секретов производства, новых технологий по корыстным и другим антиобщественным мотивам (документация, чертежи, описания открытий и изобретений и другие материалы); подслушиванием и передачей служебных и других научно-технических и коммерческих разговоров; с целенаправленной "утечкой умов", знаний информации (например, в связи с получением другого гражданства по корыстным мотивам). Это угрозы, связанные с несанкционированным доступом к ресурсам АИС (внесение технических изменений в средства ВТ и средства связи, подключение к средствам ВТ и каналам связи, хищение носителей информации: дисков, описаний, распечаток и др.).
Умышленные угрозы преследуют цель нанесения ущерба пользователям АИС и, в свою очередь, подразделяются на активные и пассивные.
Пассивные угрозы , как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на их функционирование. Пассивной угрозой является, например, попытка получения информации, циркулирующей в каналах связи, посредством их прослушивания.
Активные угрозы имеют целью нарушение нормального процесса функционирования системы посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя ПК или ее операционной системы, искажение сведений в базах данных либо в системной информации и т.д. Источниками активных угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п.
Умышленные угрозы подразделяются на внутренние, возникающие внутри управляемой организации, и внешние.
Внутренние угрозы чаще всего определяются социальной напряженностью и тяжелым моральным климатом в коллективе фирмы.
Внешние угрозы могут определяться злонамеренными действиями конкурентов, экономическими условиями и другими причинами (например, стихийными бедствиями). По данным зарубежных источников, получил широкое распространение промышленный шпионаж – это наносящие ущерб владельцу коммерческой тайны, незаконный сбор, присвоение и передача сведений, составляющих коммерческую тайну, лицом, не уполномоченным на это ее владельцем.
К основным угрозам безопасности относят:
· раскрытие конфиденциальной информации;
· компрометация информации;
· несанкционированное использование информационных ресурсов;
· ошибочное использование ресурсов; несанкционированный обмен информацией;
· отказ от информации;
· отказ от обслуживания.
Реализация этих угроз является следствием одного из следующих действий и событий (рисунок 1):
Разглашения конфиденциальной информации,
Утечки конфиденциальной информации и
Несанкционированный доступ к защищаемой информации.
Рисунок 1. Действия и события, нарушающие информационную безопасность
Способы воздействия угроз на информационные объекты подразделяются на:
– информационные;
– программно-математические;
– физические;
– радиоэлектронные;
– организационно-правовые.
К информационным способам относятся:
– нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации;
– несанкционированный доступ к информационным ресурсам;
– манипулирование информацией (дезинформация, сокрытие или сжатие информации);
– нарушение технологии обработки информации.
Программно-математические способы включают:
– внедрение компьютерных вирусов;
– установка программных и аппаратных закладных устройств;
– уничтожение или модификацию данных в АИС.
Физические способы включают:
– уничтожение или разрушение средств обработки информации и связи;
– уничтожение, разрушение или хищение машинных или других носителей информации;
– хищение программных или аппаратных ключей и средств криптографической защиты информации;
– воздействие на персонал;
Радиоэлектронными способами являются:
– перехват информации в технических каналах ее возможной утечки;
– внедрение электронных устройств перехвата информации в технические средства и помещения;
– перехват, дешифровка и навязывание ложной информации в сетях передачи данных и линиях связи;
– воздействие на парольно-ключевые системы;
– радиоэлектронное подавление линий связи и систем управления.
Организационно-правовые способы включают:
– невыполнение требований законодательства о задержке в принятии необходимых нормативно-правовых положений в информационной сфере;
– неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию.
Суть подобных угроз сводится, как правило, к нанесению того или иного ущерба предприятию.
Проявления возможного ущерба могут быть самыми различными:
· моральный и материальный ущерб деловой репутации организации;
· моральный, физический или материальный ущерб, связанный с разглашением персональных данных отдельных лиц;
· материальный (финансовый) ущерб от разглашения защищаемой (конфиденциальной) информации;
· материальный (финансовый) ущерб от необходимости восстановления нарушенных защищаемых информационных ресурсов;
· материальный ущерб (потери) от невозможности выполнения взятых на себя обязательств перед третьей стороной;
· моральный и материальный ущерб от дезорганизации в работе всего предприятия.
Рассмотренный выше широкий спектр угроз и последствий их воздействия показывает сложность решения задачи обеспечения информационной безопасности, обуславливает необходимость научного подхода к построению системы информационной безопасности АИС экономического объекта.
Угрозы возникают из противоречий экономических интересов различных элементов, взаимодействующих как внутри, так и вне социально-экономической системы - в том числе и в информационной сфере. Они и определяют содержание и направления деятельности по обеспечению общей и информационной безопасности. Следует отметить, что анализ проблем экономической безопасности необходимо проводить, учитывая взаимосвязи экономических противоречий, угроз и потерь, к которым может приводить реализация угроз. Такой анализ приводит к следующей цепочке:
< источник угрозы (внешняя и/или внутренняя среда предприятия)>
<зона риска (сфера экономической деятельности предприятия, способы её реализации, материальные и информационные ресурсы)>
<фактор (степень уязвимости данных, информации, программного обеспечения, компьютерных и телекоммуникационных устройств, материальных и финансовых ресурсов, персонала)>
< угроза (вид, величина, направление)>
<возможность её реализации (предпосылки, объект , способ действия, скорость и временной интервал действия)>
<последствия (материальный ущерб , моральный вред, размер ущерба и вреда, возможность компенсации)>.
Угрозу отождествляют обычно либо с характером (видом, способом) дестабилизирующего воздействия на материальные объекты, программные средства или информацию, либо с последствиями (результатами) такого воздействия.
С правовой точки зрения понятие угроза жестко связано с юридической категорией ущерб , которую Гражданский Кодекс РФ (часть I, ст. 15) определяет как "фактические расходы , понесенные субъектом в результате нарушения его прав (например, кражи, разглашения или использования нарушителем конфиденциальной информации), утраты или повреждения имущества, а также расходы , которые он должен будет произвести для восстановления нарушенного права и стоимости поврежденного или утраченного имущества".
Анализ негативных последствий возникновения и осуществления угроз предполагает обязательную идентификацию возможных источников угроз, уязвимостей, способствующих их проявлению и методов реализации. В связи с этим угрозы экономической и информационной безопасности необходимо классифицировать с тем, чтобы наиболее полно и адекватно проводить указанную идентификацию: по источнику угрозы, по природе возникновения, по вероятности реализации, по отношению к виду человеческой деятельности, по объекту посягательства, по последствиям, по возможностям прогнозирования.
Угрозы можно классифицировать по нескольким критериям:
- по важнейшим составляющим информационной безопасности (доступность, целостность, конфиденциальность), против которых направлены угрозы в первую очередь;
- по компонентам информационных систем и технологий (данные, программно-аппаратные комплексы, сети, поддерживающая инфраструктура), на которые угрозы непосредственно нацелены;
- по способу осуществления (случайные или преднамеренные действия, события техногенного или природного масштаба);
- по локализации источника угроз (вне или внутри информационной технологии или системы).
Одна из возможных моделей классификации угроз представлена на рис. 2.1 [Вихорев, С., Кобцев Р., 2002].
Рис.
2.1.
В ходе анализа необходимо убедиться, что большинство возможных источников угроз и уязвимости идентифицированы и сопоставлены друг с другом, а всем идентифицированным источникам угроз и уязвимостям сопоставлены методы их нейтрализации и устранения.
Указанная классификация может служить основой для выработки методики оценки актуальности той или иной угрозы, и при обнаружении наиболее актуальных угроз могут приниматься меры по выбору методов и средств для их предотвращения или нейтрализации.
При выявлении актуальных угроз экспертно-аналитическим методом определяются объекты защиты, подверженные воздействию той или иной угрозы, характерные источники этих угроз и уязвимости, способствующие реализации угроз.
На основании анализа составляется матрица взаимосвязи источников угроз и уязвимостей, из которой определяются возможные последствия реализации угроз (атаки) и вычисляется коэффициент значимости (степени опасности) этих атак как произведение коэффициентов опасности соответствующих угроз и источников угроз, определенных ранее.
Один из возможных алгоритмов проведения такого анализа, который легко формализуется и алгоритмизируется, показан на рис. 2.2 .
Рис. 2.2.
Благодаря такому подходу возможно:
- установить приоритеты целей безопасности для субъекта отношений;
- определить перечень актуальных источников угроз;
- определить перечень актуальных уязвимостей;
- оценить взаимосвязь уязвимостей, источников угроз, возможности их осуществления;
- определить перечень возможных атак на объект;
- разработать сценарии возможных атак;
- описать возможные последствия реализации угроз;
- разработать комплекс защитных мер и систему управления экономической и информационной безопасностью предприятия.
Выше было отмечено, что самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы . Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь возникают из-за непреднамеренных ошибок, совершенных по неосторожности, халатности или несоответствующей подготовки персонала.
Обычно пользователи могут быть источниками следующих угроз:
- намеренная (встраивание логической бомбы, которая со временем разрушит программное ядро или приложения) или непреднамеренная потеря или искажение данных и информации, "взлом" системы администрирования, кража данных и паролей, передача их посторонним лицам и т.д.;
- нежелание пользователя работать с информационной системой (чаще всего проявляется при необходимости осваивать новые возможности или при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками) и намеренный вывод из строя её программно-аппаратных устройств;
- невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т. п.).
Очевидно, что эффективный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и стандартизация, информационных процессов, использование устройств "защита от дурака" (Fool Proof Device ), регламентация и строгий контроль действий пользователей. Необходимо также следить за тем, чтобы при увольнении сотрудника его права доступа (логического и физического) к информационным ресурсам аннулировались.
Основными источниками внутренних системных отказов являются:
- невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т. п.);
- отступление (случайное или умышленное) от установленных правил эксплуатации;
- выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т. п.);
- ошибки конфигурирования системы;
- отказы программного и аппаратного обеспечения;
- разрушение данных;
- разрушение или повреждение аппаратуры.
По отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы:
- нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;
- разрушение или повреждение помещений;
- невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т. п.).
Опасны, разумеется, стихийные бедствия (наводнения, землетрясения, ураганы) и события, являющиеся результатом техногенных катастроф (пожары, взрывы, обрушения зданий и т.д.). По статистике, на долю огня, воды и тому подобных "злоумышленников" (среди которых самый опасный - сбой электропитания) приходится 13-15% потерь, нанесенных производственным информационным системам и ресурсам.
Результаты проведения оценки и анализа могут быть использованы при выборе адекватных оптимальных методов парирования угроз, а также при аудите реального состояния информационной безопасности объекта.
Для создания оптимальной системы информационной безопасности предприятия необходимо грамотно оценить ситуацию, выявить возможные риски, разработать концепцию и политику безопасности, на основе которых строится модель системы и вырабатываются соответствующие механизмы реализации и функционирования.
Одной из главных особенностей проблемы защиты информации является требование полноты определения угроз информации, потенциально возможных в современных информационных системах. Даже один неучтенный (невыявленный, не принятый во внимание) дестабилизирующий фактор может в значительной степени снизить (и даже свести на нет) эффективность защиты.
- это потенциально существующая возможность случайного или преднамеренного действия или бездействия, в результате которого может быть нарушена безопасность информации (данных).
Угроза безопасности информации - совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, и/или несанкционированными и/или непреднамеренными воздействиями на нее.
Угроза - это человек, вещь, событие или идея, которая представляет некоторую опасность для ценностей, нуждающихся в защите.
Угроза - это потенциальная возможность определенным образом нарушить информационную безопасность.
Попытка реализации угрозы называется атакой, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.
Чаще всего угроза является следствием наличия уязвимых мест в системе защиты информации. Промежуток времени от момента, когда появляется возможность использовать уязвимое место, и до момента, когда в систему защиты вносятся изменения, ликвидирующие данную уязвимость, называется окном опасности, ассоциированным (связанным) с данным уязвимым местом.
Причины уязвимости системы:
- Особенностями технических средств, используемых в системе электронной обработки данных.
Например, если информация записывается на дискету, то ее целостность может быть легко нарушена вследствие механических повреждений, воздействия температуры и влажности, электромагнитных полей и других факторов.
- Особенностями используемого программного обеспечения .
Например, пароли для доступа в Интернет могут сохраняться в некотором файле на диске. Следовательно, существует угроза, что злоумышленник найдет этот файл и воспользуется чужим паролем для доступа в Интернет.
- Особенностями поведения персонала, работающего с системой электронной обработки данных.
Например, некоторые пользователи записывают свои пароли для доступа к различным ресурсам на отдельных листочках и хранят эти записи прямо на рабочем месте. Естественно, существует угроза, что злоумышленник может найти такой листочек и воспользоваться чужим паролем.
Многие уязвимые места не могут быть ликвидированы и являются постоянной причиной существования угрозы. Что же касается особенностей программного обеспечения, то, как правило, уязвимые места выявляются в процессе эксплуатации и устраняются путем выпуска новых версий и «пакетов обновлений» программ. Именно для таких уязвимых мест чаще всего используется понятие «окно опасности». Оно «открывается» с появлением средств использования данного пробела в защите и ликвидируется при ликвидации данного уязвимого места.
Для большинства уязвимых мест окно опасности существует сравнительно долго, поскольку за это время должны произойти следующие события:
Должно стать известно о средствах использования данного пробела в защите
Должны быть найдены способы ликвидации данного пробела
Должны быть реализованы способы ликвидации данного пробела, то есть внесены соответствующие изменения в программу
Эти изменения должны быть осуществлены у всех пользователей, использующих данную программу
Угрозы безопасности информации в современных информационных системах обусловлены:
Случайными и преднамеренными разрушающими и искажающими воздействиями внешней среды;
Степенью надежности функционирования средств обработки информации;
Преднамеренными корыстными воздействиями несанкционированных пользователей, целью которых является хищение, разглашение, уничтожение, разрушение, несанкционированная модификация и использование обрабатываемой информации;
Непреднамеренными, случайными действиями обслуживающего персонала и др.
Классификация информационных угроз
Угрозы информации можно классифицировать по нескольким критериям :
Классификация по аспекту информационной безопасности, против которого в первую очередь направлена угроза.
Угрозы целостности связаны со следующими возможностями:
Физическое уничтожение или порча носителей информации.
Например, злоумышленник может сломать дискету, на которую Вы записали свой реферат.
Уничтожение определенной информации.
Например, злоумышленник может удалить Ваш файл с отчетом по лабораторной работе
Изменение информации, вследствие которого информация перестает отражать реальное положение дел либо становится противоречивой.
Например, злоумышленник может увеличить данные о сумме денег на своем счете.
Угрозы доступности связаны со следующими возможностями:
Прекращение функционирования системы электронной обработки данных вследствие разрушения обеспечивающей инфраструктуры.
Например, система может прекратить функционирование вследствие отключения электричества, прорыва водопровода, поломки системы кондиционирования и повышения вследствие этого температуры до недопустимых значений.
Прекращение функционирования системы вследствие поломки оборудования (компьютеров, коммуникационного оборудования и т.д.)
Например, если в железнодорожной кассе сломается компьютер, подключений к системе автоматизированной продажи билетов, то пассажиры не смогут купить билеты (получить информационную услугу по оформлению билетов) в данной кассе.
Неправильное функционирование системы в результате ошибок в программном обеспечении либо несоответствия между реальной работой и документацией на систему.
Например, если пользователь осуществляет поиск в какой-то информационной системе, то в справочной информации может быть написано, что для поиска слова достаточно только ввести его начало, и будет найдены все слова, начинающиеся с заданной комбинации символов. Пользователь вводит символы «информ» в надежде, что будут найдены все слова «информатика», «информация», «информационные технологии» и так далее. Однако оказывается, что на самом деле программа работает не совсем так, как написано в справочной информации, и ищет именно то слово, которое задано. А чтобы найти слова, начинающие с заданной комбинации символов, надо в конце поставить «*». Т.е. для поиска слов «информация» и подобных надо было ввести символы «информ *». Но ведь пользователь не мог знать об этом, и в результате он не получает желаемой информационной услуги, а информация, хранящиеся в системе, оказывается для него недоступной.
Ошибки персонала системы, которые могут быть вызваны как отсутствием необходимых навыков работы с конкретной системой, так и общим недостатком образования или квалификации.
Например, соискатель обращается в службу занятости с просьбой найти работу уборщицы с 17 до 19 часов. Сотрудница службы занятости не знает, что имеющиеся информационная система позволяет осуществлять поиск по параметрам рабочего времени (потому что для такого поиска надо перейти на дополнительную вкладку и нажать специальную кнопку, а сотруднице об этой никто не рассказывал), и предлагает клиенту просмотреть все имеющиеся вакансии уборщиц. В результате клиент не получает информационную услугу должного качества. В другом случае соискатель обращается к сотруднице службы занятости с просьбой найти вакансии программиста, и получает ответ, что таких вакансий не имеется. Однако на самом деле такие вакансии есть, просто сотрудница из-за своей безграмотности ввела в окне поиска вакансию «програмист». В результате клиент получил ложную информацию.
Целенаправленные атаки с целью вызвать отказ в обслуживании (DOS - атаки ). При таких атаках в систему электронной обработки данных одновременно направляется множество запросов на обслуживание, в результате чего система оказывается перегруженной и не может нормально функционировать. Такие атаки характерны для служб Интернета, когда злоумышленники пытаются нарушить функционирование отдельных серверов или сети в целом.
Целью таких атак может являться:
Причинение ущерба какой-либо фирме путем временного нарушения ее функционирования. Например, если будет нарушено функционирование сервера туристической фирмы, то люди не смогут узнать в это время об услугах этой фирмы и заказать путевки, и фирма потеряет клиентов
Нарушение нормального функционирования системы защиты с целью попытки получить доступ к конфиденциальной информации
Попытка проанализировать систему защиты и найти в ней уязвимые места в процессе мер по восстановлению работоспособности системы и отражения атаки.
Угрозы конфиденциальности связаны со следующими возможностями:
Потеря технических средств идентификации (ключей, чипов)
Прочтение информации с экрана монитора либо в процессе набора на клавиатуре посторонним человеком
Небрежность пользователей, записывающих пароли и оставляющих эти записи в доступных местах
Небрежное хранение копий и черновиков конфиденциальных документов, а также использованных при их печати копировальной и обычной бумаги
Оставление без присмотра рабочих мест, с которых осуществлен доступ к конфиденциальной информации
Использование «неправильных», то есть легко подбираемых паролей
Использование специальных технических и программных средств для взлома системной защиты
Поскольку все аспекты информационной безопасности тесно связанны между собой, то и конкретная угроза оказывается направленной сразу против нескольких аспектов безопасности.
Например, при отключении электричества не только нарушается доступность информации в течение того времени, пока система не работает, но и может произойти разрушение или нарушение целостности информации вследствие прекращения работы системы в момент выполнения какой-либо критической операции.
Классификация по компонентам системы, на которую нацелена угроза (атака)
- угроза данным может быть связана с возможностью хищения или порчей носителей данных, несанкционированного удаления или изменения данных, а также с возможностью того, что данные станут доступны лицам, которым они не должны быть доступны
- угроза программам может быть связана с внедрением вредоносного программного обеспечения, в первую очередь компьютерных вирусов
- угроза техническим средствам может быть связаны с возможностью выхода из строя техники в связи со случайными или преднамеренными воздействиями естественного или искусственного характера
- угроза персоналу может быть связанна с возможностью создания условий, вынуждающих отдельных сотрудников выполнять действия, связанные с нарушением защиты информации (шантаж, подкуп и так далее)
Основными видами угроз безопасности информационных систем являются:
Преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов и т. п.).
Угрозы безопасности можно классифицировать по различным признакам:
1. По результатам акции:
1) угроза утечки;
2) угроза модификации;
3) угроза утраты.
2. По мотивам:
· Непреднамеренные;
· Умышленные.
Случайные (непреднамеренные) угрозы могут возникнуть в следствии :
Стихийных бедствий и аварий (наводнение, ураган, землетрясение, пожар и т.п.);
Сбоя и отказа оборудования (технических средств) АИТУ;
Последствий ошибок проектирования и разработки компонентов АИС (аппаратных средств, технологии обработки информации, программ, структур данных и т. п.);
Ошибок эксплуатации (пользователей, операторов и другого персонала).
Основные причины непреднамеренных, искусственных угроз АИС:
· Невнимательность;
· нарушение регламента и игнорирования ограничений, установленных в системе;
· Некомпетентность;
· Халатность.
Примеры угроз:
1) неумышленные действия, приводящий к частичному или полному отказу системы или разрушению аппаратных, программных, информационных ресурсов системы (неумышленная порча оборудования, удаление, искажение файлов с важной информацией или программ, в том числе системных и т. п.);
2) неправомерное включение оборудования или изменение режимов работы устройств и программ ;
3) неумышленная порча носителей информации;
4) нелегальное внедрение и использование неучтенных программ (игровых, обучающих, технологических и др ., не являющихся необходимыми для выполнения нарушителем своих служебных обязанностей) с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);
6) заражение компьютера вирусами;
7) неосторожные действия, приводящие к разглашению конфиденциальной информации или делающие ее общедоступной;
8) разглашение, передача или утрата атрибутов разграничения доступа (п аролей, ключей шифрования, идентификационных карточек, пропусков и т. п.);
9) игнорирование организационных ограничений (установленных правил) при ранге в системе;
10) вход в систему в обход средств защиты (загрузка посторонней операционной системы со сменных магнитных носителей и т. п.);
11) некомпетентное использование , настройка или неправомерное отключение средств защиты персоналом службы безопасности;
12) пересылка данных по ошибочному адресу абонента (устройства);
13) ввод ошибочных данных;
14) неумышленное повреждение каналов связи.
умышленные угрозы - это угрозы АИС, вызванные деятельностью человека, связанные с корыстными устремлениями людей (злоумышленников).
Источники угроз по отношению к информационной системе могут быть внешними или внутренними.
К сожалению результатом реализации и тех и других угроз являются одни и те же последствия: потеря информации, нарушение ее конфиденциальности, ее модификация.
Основные преднамеренные умышленные угрозы как правило направлены на:
· умышленную дезорганизацию работы системы и вывод ее из строя,
· с целью проникновения в систему и несанкционированного доступа к информации и использования ее в корыстных целях.
Умышленные угрозы в свою очередь могут подразделяться на:
1. Активные и пассивные .
Пассивные угрозы - направлены в основном на несанкционированное использование информационных ресурсов, не влекущее порчу и уничтожение информации.
Для этого используются разнообразные способы реализации :
а) применение подслушивающих устройств , дистанционная фото- и видеосъемка, хищение носителей и т. п.;
б) хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и персональных ЭВМ);
в) перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;
г) чтение остатков информации из оперативной памяти и с внешних запоминающих устройств (буфер памяти принтера);
д) чтение информации из областей оперативной памяти , используемых операционной системой (в том числе подсистемой защиты) ;
е) незаконное получение паролей и других реквизитов разграничения доступа (агентурным путем, используя халатность пользователей, путем подбора, имитации интерфейса системы и т. п. с последующей маскировкой под зарегистрированного пользователя («маскарад»);
Активные угрозы - нарушение нормального функционирования системы путем целенаправленного воздействия на ее компоненты.
Способы реализации:
А) вывод из строя ПК или операционной системы;
Б) нарушение работы каналов связи;
В) взлом системы защиты;
Г) использование программных вирусов и др.
2. Внутренние и внешние угрозы .
Внутренними нарушителями могут быть лицаиз следующих категорий персонала:
§ вспомогательный и обслуживающий персонал (операторы, электрики, техники) системы;
§ сотрудники отделов разработки и сопровождения программного обеспечения (прикладные и системные программисты);
§ сотрудники службы безопасности АИТУ;
§ руководители различного уровня должностной иерархии.
По данным исследований, проводимых в БИС более 80% нарушений совершается служащими банка
Посторонние лица, которые могут быть внешними нарушителями .
§ клиенты (представители организаций, граждане);
§ посетители (приглашенные по какому-либо поводу);
§ представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теплоснабжение и т. п.);
представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;
2.Методы и средства защиты
Система защиты - это совокупность (комплекс) специальных мер правового (законодательного) (административного характера, организационных мероприятий, физических и технических (программно-аппаратных) средств защиты, а также специального персонала, предназначенных для обеспечения безопасности информации, информационных технологий и автоматизированной системы в целом.
В международной и Российской практике используются стандарты, позволяющие дать оценку уровня безопасности компьютерных систем. В США документ, содержащий эти стандарты называется Оранжевой книгой. (1985 г.). В ней приводятся следующие уровни безопасности систем:
· Высший класс- А;
· Промежуточный класс –В;
· Низкий уровень – С;
· Класс систем, не прошедших испытания –Д.
В российской практике Государственной технической комиссией при президенте РФ разработан руководящий документ, предусматривающий установление 7 классов защищенности СВТ от несанкционированного доступа. При этом защитные мероприятия охватывают подсистемы:
· Управления доступом;
· Регистрации и учета;
· Криптографическая;
· Обеспечение целостности;
· Законодательные меры;
· Физические меры.
Методы и средства обеспечения безопасности информации показаны на рис.2. Рассмотрим основное содержание представленных методов защиты информации, которые составляют основу механизмов защиты.
Под угрозой безопасности информации понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.
Фактор, воздействующий на защищаемую информацию - явление, действие или процесс, результатом которого могут быть утечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней.
Источник угрозы безопасности информации - субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации.
Уязвимость информационной системы (брешь) - свойство информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации.
По отношению к информации и информационным ресурсам можно выделить угрозы целостности, конфиденциальности, достоверности и доступности информации, проявляющиеся в различных формах нарушений (рис. 1.).
Как правило, вышеперечисленные угрозы информационным ресурсам реализуются следующими способами:
1. Через имеющиеся агентурные источники в органах государственного управления и коммерческих структурах, имеющих возможность получения конфиденциальной информации (суды, налоговые органы, коммерческие банки и т. д.).
2. Путем подкупа лиц, непосредственно работающих в организации или структурах, напрямую связанных с ее деятельностью.
3. Путем перехвата информации, циркулирующей в средствах и системах связи и вычислительной технике с помощью технических средств разведки и съема информации.
4. Путем прослушивания конфиденциальных переговоров и другими способами несанкционированного доступа к источникам конфиденциальной информации.
Рис. 1. Влияние угроз информации на критерии информационной безопасности
Информационная безопасность оказывает влияние на защищенность интересов в различных сферах жизнедеятельности общества и государства. В каждой из них имеются свои особенности обеспечения информационной безопасности, связанные со спецификой объектов обеспечения безопасности, степенью их уязвимости в отношении угроз информационной безопасности.
Например, с позиции обеспечения безопасности информации в компьютерных системах (КС) все множество потенциальных угроз безопасности информации в КС может быть разделено на два класса.
Угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализуются в случайные моменты времени, называют случайными или непреднамеренными.
Реализация угроз этого класса приводит к наибольшим потерям информации (по статистическим данным - до 80% от ущерба, наносимого информационным ресурсам КС любыми угрозами). При этом могут происходить уничтожение, нарушение целостности и доступности информации. Реже нарушается конфиденциальность информации, однако при этом создаются предпосылки для злоумышленного воздействия на информацию.
Стихийные бедствия и аварии чреваты наиболее разрушительными последствиями для информации, так как носители подвергаются физическому разрушению, информация утрачивается или доступ к ней становится невозможен.
Сбои и отказы сложных систем неизбежны. В результате сбоев и отказов нарушается работоспособность технических средств, уничтожаются и искажаются данные и программы, нарушается алгоритм работы устройств. Нарушения алгоритмов работы отдельных узлов и устройств могут также привести к нарушению конфиденциальности информации. Например, сбои и отказы средств выдачи информации могут привести к несанкционированному доступу к информации путем несанкционированной ее.передачи в канал связи, на печатающее устройство и т. п.
Ошибки при разработке КС, алгоритмические и программные ошибки приводят к последствиям, аналогичным последствиям (сбоев и отказов технических средств. Кроме того, такие ошибки могут быть использованы злоумышленниками для воздействия на ресурсы КС. Особую опасность представляют ошибки в операционных системах (ОС) и в программных средствах защиты информации.
Согласно данным Национального института стандартов и технологий США (NIST) 65% случаев нарушения безопасности информации происходит в результате ошибок пользователей и обслуживающего персонала. Некомпетентное, небрежное или невнимательное выполнение функциональных обязанностей сотрудниками приводят к уничтожению, нарушению целостности и конфиденциальности информации, а также компрометации механизмов защиты.
Другой класс угроз безопасности информации в компьютерных системах составляют преднамеренно создаваемые угрозы. Угрозы этого класса в соответствии с их физической сущностью и механизмами реализации могут быть распределены по пяти группам:
Традиционный или универсальный шпионаж и диверсии;
Несанкционированный доступ к информации;
Электромагнитные излучения и наводки;
Модификация структур;
Вредоносные программы.
В качестве источников нежелательного воздействия на информационные ресурсы по-прежнему актуальны методы и средства шпионажа и диверсий, которые использовались и используются для добывания или уничтожения информации. Эти методы также действенны и эффективны в условиях применения компьютерных систем. Чаще всего они используются для получения сведений о системе защиты с целью проникновения в систему, а также для хищения и уничтожения информационных ресурсов.
Угрозы в коммерческой деятельности также имеют свои особенности.
По отношению к отдельной организации существуют следующие основные виды внешних угроз:
1. Недобросовестные конкуренты.
2. Криминальные группы иформирования.
3. Противозаконные действия отдельных лиц и организаций административного аппарата, в том числе и налоговых служб.
4. Нарушение установленного регламента сбора, обработки и передачи информации.
Основные виды внутренних угроз:
1. Преднамеренные преступные действия собственного персонала организации.
2. Непреднамеренные действия и ошибки сотрудников.
3. Отказ оборудования и технических средств.
4. Сбои программного обеспечения средств обработки информации.
Внутренние и внешние угрозы тесно взаимодействуют. Например, общая тенденция криминализации хозяйственной деятельности ведет к снижению морально-этических норм сотрудников всех рангов, часто толкает их на действия, наносящие ущерб предприятию.
Соотношение внутренних и внешних угроз в соответствии с характеризуется следующими показателями: 81,7% угроз совершается либо самими сотрудниками организаций, либо при их прямом или опосредованном участии (внутренние угрозы); 17,3% угроз - внешние угрозы или преступные действия; 1,0% угроз - угрозы со стороны случайных лиц.
Объектами различных угроз в коммерческой деятельности являются:
1. Человеческие ресурсы (персонал, сотрудники, компаньоны и др.), включая трудовые и кадровые ресурсы.
2. Материальные ресурсы.
3. Финансовые ресурсы.
4. Временные ресурсы.
5. Информационные ресурсы, включая интеллектуальные ресурсы (патенты, незавершенные проектно-конструкторские разработки, ноу-хау, программные продукты, массивы бухгалтерской и статистической информации и пр.).
Наиболее опасным источником угроз предприятиям выступают собственные сотрудники. Мотивами внутренних угроз в этом случае являются безответственность, некомпетентность (низкая квалификация), личные побуждения (самоутверждение, корыстные интересы).
В условиях сохраняющейся высокой степени монополизации российской экономики опасность предпринимательству представляет недобросовестная конкуренция, представляющая собой:
1.Все действия, ведущие к тому, что потребитель может принять предприятие, товары, промышленную или коммерческую деятельность данной организации за предприятие, товары, промышленную или коммерческую деятельность конкурента.
2.Ложные заявления в ходе коммерческой деятельности, дискредитирующие предприятие, товары, промышленную или коммерческую деятельность конкурента.
3.Использование в ходе коммерческой деятельности указаний или обозначений, которые вводят потребителя в заблуждение относительно природы, способа изготовления, характеристик, пригодности для определенных целей или количества товаров.
Реализация угроз в данном случае снижает эффективность и надежность функционирования организаций, а в отдельных случаях, приводят к прекращению их деятельности из-за опасности экономического, социального, правового, организационного, информационного, экологического, технического и криминального характера. Объектами угроз могут быть элементы вещественного, личного («человеческого»), финансового, информационного и иного капитала, составляющего экономическую основу деятельности предпринимательства.
Каждая угроза влечет за собой определенный ущерб (потери) - моральные или материальные, а меры по противодействию этой угрозе призваны снизить ее величину до приемлемого уровня.
Оценка возможных ущербов (потерь) предполагает знание видов потерь, связанных с предпринимательской деятельностью, и умение вычисления их вероятностной прогнозной величины. Существуют следующие виды возможных ущербов (потерь):
1.Материальные виды потерь проявляются в непредусмотренных предпринимательским проектом дополнительных затратах или прямых потерях оборудования, имущества, продукции, сырья, энергии и т. д.
2.Трудовые потери - это потери рабочего времени, вызванные случайными, непредвиденными обстоятельствами; измеряются в часах рабочего времени. Перевод трудовых потерь в денежное выражение осуществляется путем умножения трудочасов на стоимость (цену) одного часа.
3. Кадровые потери - потери необходимых предприятию профессиональных, высококвалифицированных работников; измеряются в затратах на подбор и обучение нового кадрового состава в денежном выражении.
4. Финансовые потери - прямой денежный ущерб, связанный с непредусмотренными платежами, выплатой штрафов, уплатой дополнительных налогов, потерей денежных средств и ценных бумаг.
5. Временные потери . Происходят, когда процесс предпринимательской деятельности идет медленнее, чем намечено. Прямая оценка таких потерь осуществляется в часах, днях, неделях, месяцах запаздывания в получении намеченного результата. Чтобы перевести оценку потерь времени в денежное измерение, необходимо установить, к каким потерям дохода, прибыли способны приводить потери времени. В конечном итоге оцениваются в денежном выражении.
6.Информационные потери . Одни из самых серьезных потерь в бизнесе, способные привести к краху всей организации. Исчисляются в стоимостном выражении.
7.Особые виды потерь проявляются в виде нанесения ущерба здоровью и жизни людей, окружающей среде, престижу предпринимателя, а также вследствие других неблагоприятных социальных и морально - психологических последствий.
Информационный ущерб (потери) связан с наличием в процессе предпринимательской деятельности информационного риска, который входит в общий предпринимательский риск.
Информационный риск - вероятность (угроза) потерь активов субъекта экономики (предпринимателя) в результате потерь, порчи, искажения и разглашения информации.
Информационный риск классифицируется следующим образом:
Риск прерывания информации (прекращение нормальной обработки информации, например, вследствие разрушения, вывода из строя вычислительных средств). Такая категория действий может вызвать весьма серьезные последствия, если даже информация при этом не подвергается никаким воздействиям;
Риск кражи информации (считывание или копирование информации, хищение магнитных носителей информации и результатов печати с целью получения данных, которые могут быть использованы против интересов владельца (собственника) информации);
Риск модификация информации (внесение несанкционированных изменений в данные, направленных на причинение ущерба владельцу (собственнику) информации);
Риск разрушения данных (необратимое изменение информации, приводящее к невозможности ее использования);
Риск электромагнитного воздействия и перехвата информации в автоматизированных и информационных системах (АИС);
Риск съема информации по акустическому каналу;
Риск прекращения питания АИС и поддерживающей инфраструктуры);
Риск ошибки операторов и поставщиков информационных ресурсов АИС;
Риск сбоев программного обеспечения АИС;
Риск неисправности аппаратных устройств АИС (в результате халатных действий сотрудников, несоблюдения техники безопасности, природных катаклизмов, сбоев программных средств и т. д.).
В конечном итоге все противоправные действия приводят к нарушению конфиденциальности, достоверности, целостности и доступности информации.
Таким образом, перечень угроз и источников их возникновения достаточно разнообразен и предложенная классификация не является исчерпывающей. Противодействие проявлениям угроз осуществляется по различным направлениям, с использованием полного арсенала методов и средств защиты.
